Старший инженер по наступательной безопасности
Компания
Toters — это платформа электронной коммерции и доставки по запросу, которая позволяет клиентам получить все необходимое в своем городе с максимальным удобством.
В Toters технологии лежат в основе всего, что мы делаем. Наши продуктовые команды создают функции, которые упрощают жизнь клиентов, в то время как наши инженеры разрабатывают масштабируемые решения для более быстрой и экономически эффективной доставки. Если вы преуспеваете в условиях быстрорастущего стартапа и хотите помочь изменить способ совершения покупок на Ближнем Востоке, присоединяйтесь к нам.
Обзор роли
В качестве старшего инженера по наступательной безопасности (L5) вы будете отвечать за сложные инициативы по наступательной безопасности, охватывающие несколько команд. Вы будете руководить продвинутым тестированием на проникновение, учениями Red Team и симуляциями действий противника, чтобы выявить системные уязвимости в наших веб-приложениях, API, мобильных приложениях, облачной инфраструктуре, системах идентификации, платежных потоках и общей поверхности атаки.
Вы будете выступать в роли технического лидера: влиять на решения по безопасному проектированию с помощью доказательств, наставлять инженеров среднего и младшего звена по наступательной безопасности и способствовать внедрению улучшений, которые значительно снижают риски.
Описание
На этой старшей должности вы будете нести полную ответственность за наступательную безопасность с акцентом на достижение высокоэффективных результатов. Ваши обязанности включают:
- Руководство комплексным тестированием на проникновение и учениями Red Team / assumed-breach, нацеленными на веб-приложения, API, мобильные приложения, облачную инфраструктуру и системы аутентификации (включая идентификацию и пути привилегированного доступа).
- Руководство мобильным наступательным тестированием на Android и iOS, включая оценку и обход/валидацию защиты в реальном времени, устойчивость к взлому, проверку сертификатов / Certificate Transparency и маскировку ключей/секретов с использованием DexProtector или аналогичных инструментов RASP / app-shielding, а также дополнительных инструментов, таких как MobSF.
- Проведение углубленного моделирования угроз и выявление сложных путей атак в различных сервисах и границах доверия (включая уязвимости авторизации, изоляцию арендаторов, проблемы с токенами/сессиями, обход Edge/WAF и раскрытие клиентских секретов).
- Предоставление высококачественных отчетов об оценке безопасности с четкой классификацией рисков, анализом влияния на бизнес, практическими рекомендациями по устранению и качеством доказательств, которые могут использовать заинтересованные стороны из отделов разработки и аудита в контексте SOC 2 и PCI DSS, — затем повторное тестирование и проверка исправлений перед закрытием.
- Сотрудничество с отделами разработки, DevOps, продукта и треком инженеров по безопасности для влияния на решения по безопасной архитектуре и обеспечения устранения уязвимостей на корневом уровне.
- Разработка и совершенствование методологий, инструментов и автоматизации наступательной безопасности для повышения эффективности и охвата. Тестирование с использованием ИИ является обязательным.
- Наставничество инженеров среднего и младшего звена по наступательной безопасности, проведение обзоров кода/дизайна с фокусом на наступательную безопасность и помощь в повышении общего уровня безопасности команды.
- Участие в упражнениях Purple Team с командами обнаружения и реагирования на инциденты для улучшения защиты на основе реальных симуляций атак.
- Быть в авангарде исследований в области наступательной безопасности, новых угроз и TTP, а также оценивать их релевантность для Toters.
- Предоставление наступательной информации для стандартов безопасности, политик и практик безопасной разработки в рамках всей инженерной организации (вы консультируете; вы не отвечаете за выпуск политик или пакеты доказательств GRC).
- Поддержка структурированного раскрытия информации (VDP / отчеты исследователей) путем воспроизведения, оценки, дедупликации и валидации.
Ключевые квалификации
- Степень бакалавра в области компьютерных наук, кибербезопасности или смежной области, либо эквивалентный практический опыт.
- Более 6 лет практического опыта в области наступательной безопасности, тестирования на проникновение или Red Teaming.
- Глубокие знания в области тестирования безопасности веб-приложений, API и мобильных приложений (Android и iOS).
- Рабочее знание DexProtector или аналогичных инструментов мобильного экранирования / RASP: что он защищает, как тестировщики оценивают остаточный риск и как проверить, что усиление защиты действует.
- Продвинутое владение инструментами наступательной безопасности (Burp Suite, Metasploit, Cobalt Strike или аналогичные платформы эмуляции противника, пользовательские инструменты и т. д.).
- Свободное владение написанием надежных, многоразовых скриптов и небольших инструментов для автоматизации (предпочтительно Python, Bash для быстрых задач).
- Твердый опыт тестирования безопасности облачных сред (предпочтительно AWS) и методов атак на инфраструктуру.
- Доказанная способность руководить сложными оценками безопасности от этапа определения объема до отчетности и проверки устранения.
- Сильные навыки оценки рисков и моделирования угроз, с умением четко доносить технические риски как техническим, так и нетехническим заинтересованным сторонам.
- Знакомство с SOC 2 и PCI DSS в контексте наступательной деятельности (scoped pentests, тестирование приложений/API/платежных потоков, отчетность о качестве доказательств). Эта роль не предполагает проектирование элементов управления или сбор аудиторских доказательств.
- Опыт наставничества инженеров и влияния на межкомандные практики безопасности.
- Отличные письменные и устные коммуникативные навыки на английском языке.
Желательно
- Отраслевые сертификаты, такие как OSCP, OSCE, OSEP, CRTO или PNPT.
- Опыт проведения полномасштабных упражнений Red Team или assumed-breach.
- Опыт разработки пользовательских эксплойтов, инструментов или автоматизации для наступательной безопасности.
- Знание MITRE ATT&CK и эмуляции противника.
- ИИ и тестирование ИИ на проникновение: тестирование приложений LLM/агентов (внедрение подсказок, злоупотребление инструментами/плагинами, извлечение данных через агентов) и использование рабочих процессов тестирования на проникновение с помощью ИИ с обязательным человеческим обзором.
- Предыдущий опыт работы в высокомасштабируемых средах электронной коммерции, доставки или финтеха, включая тестирование платежных API / токенизации / сторонних PSP в качестве тестировщика (не в качестве владельца элементов управления PCI).
- Свободное владение арабским и английским языками (французский — плюс).
Что мы предлагаем
- Конкурентоспособный компенсационный пакет.
- Скидки на заказы Toters.
- Медицинская страховка первого класса.
Готовы взять на себя ответственность за наступательную безопасность в больших масштабах и помочь создать более безопасную платформу для миллионов людей на Ближнем Востоке? Откликнитесь сейчас!
